1 / 51

Spoofing & Scanning

Spoofing & Scanning. 2008. 2. 25. 서 승 현 (tgnice@Nchovy.kr). 발표자 소개. 홍익대학교 컴공과 2 학년 Nchovy.kr 네트워크 담당 Nchovy.kr 웹개발 RSS Reader 개발 관련 자격증 - CCNP - LPIC. 목 차. PA ra DO x CON ference 2008. ARP Packet 분석 - Header 의 내용 ARP Spoofing MAC Flooding DNS Spoofing IDLE Scan. 3.

horace
Download Presentation

Spoofing & Scanning

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. Spoofing & Scanning 2008. 2. 25. 서 승 현 (tgnice@Nchovy.kr)

  2. 발표자 소개 홍익대학교 컴공과 2학년 Nchovy.kr 네트워크 담당 Nchovy.kr 웹개발 RSS Reader 개발 관련 자격증 - CCNP - LPIC

  3. 목 차 PAraDOx CONference 2008 ARP Packet 분석 - Header의 내용 ARP Spoofing MAC Flooding DNS Spoofing IDLE Scan 3

  4. Test 환경 • VMware상 PC3(4)대 - Server , XP , Whoppix(or BackTrack) • 필요한 상황에서는 GNS를 이용 - 가상 Emulator사용 원격환경 설정 • Packet Analyzer - WireShark • Cisco Simulator사용

  5. Test 구성 Test 환경 - 좌측 Local은 192.168.10.0/24 - 우측 Local은 192.168.20.0/24 - Routing protocol 은 Rip을 사용 - Cisco 2xxx 장비를 사용 - Ethernet 환경

  6. ARP Packet Test Cisco Emulator 환경

  7. Test 1 10.1 -> 20.1 Ping Test (외부 Network)

  8. Test 2 Router ARP Request Packet 받음 BB,CC,DD ARP Request Packet 드랍

  9. Test 3 PC -> Router : Arp Request Router -> Pc : Arp Reponse

  10. Packet Analyze 환경 VMware 환경구축 - NAT 환경 192.168.8.0/24 Network - PC 8.1 , VMware 8.100 , GW 8.2 Flooding Attack : MAC Flooding - Packet Analyzer로 확인 Sniffing Attack : Analyzer로 확인

  11. Packet Analyze 1 VMware -> PC Ping Test

  12. Packet Analyze 2 ARP 요청 -> ICMP 패킷의 교환 - Request -> Reply로 이루어져 있음 - Packet Forwarding시 Ethernet 헤더 (MAC)이 필요함을 알수 있음 - ARP Packet에는 인증이 없음.

  13. ARP Request Header ARP Request Packet 내용

  14. ARP Request Header 분석 Ethernet Header - DM : FF:FF:FF:FF:FF:FF(Broad Cast) - SM : ARP Request요청 PC MAC ARP Header - Target MAC : 00:00:00:00:00:00 - Target IP : 수신자측(192.168.8.1) ※ ARP는 상대의 MAC만 알아올때 쓰인다!

  15. ARP Reply Header ARP Reply Header 내용

  16. ARP Reply Header 분석 Ethernet Header - DM : ARP Request요청 PC MAC - SM : Reply측 PC MAC ARP Header - Target MAC : Reply측 PC MAC - Target IP : 수신자측 (192.168.8.100) ※ ARP Request의 DM & TM 내용만 바뀐다.

  17. 공 격 방 법 ARP를 이용한 ARP Spoofing - 결국 Sniffing을 위한 사전공격 - MITM 공격을 위한 사전공격 Analyzer 를 이용한 Sniffing - Data를 빼내기 위한 공격 TCP 취약점을 이용한 Scanning - Idle Scanning - Syn Scanning , Fin Scanning - X-mas Scanning , Y-mas Scanning

  18. ARP Spoofing Ethernet 통신의 취약점 이용한 공격 ARP 프로토콜 취약점 – 인증이 없다! Local에서 일어나는 공격 PC가 Routing이 가능해야 한다.

  19. MAC Flooding Switch의 MAC Table 학습 취약점 이용 DoS 공격의 일종 - Local DoS 공격 - Rip Flooding, (BPDU , HSRP) Attack

  20. Sniffing Sniffing : 훔쳐듣다 - ARP Spoofing이 선행되어야한다 - Hub 환경에서는 기본적으로 가능 MITM 공격의 일종 Data를 빼내는 공격.

  21. Scanning Scanning : 검색 - 원격에서 Attacker가 공격을 위한 사전조사 단계에서 실행 - TCP의 성질을 이용함 - Three-way Handshaking을 이용

  22. ARP Spoofing 방법론 ARP 취약점을 이용한 ARP Spoofing - Local 통신시 Ethernet(MAC) 통신임을 노린 공격 - ARP Reply를 피해자에게 변조공격 - Sniffing 공격을 시도하기 위한 사전공격

  23. ARP Spoofing 공격 환경설정 - XP *.1.100, Server *.1.101, Whoppix *.1.102 - 외부 환경과 단절된 네트워크구성 - XP와 Server의 통신 간 패킷이 공격자를 거쳐가는 경로 확인.

  24. ARP Spoofing 정상경로와 Spoofing 후의 경로

  25. 정상적인 통신 MAC

  26. 정상적인 ARP Table

  27. 공격 Packet Forwarding

  28. WireShark Analyze

  29. 공격 후 ARP Table

  30. ARP Spoofing 검토 ARP Spoofing만으로 할 수 있는 일은 없다. 공격자의 NIC이 Promiscuous mode로 되어있어야 한다. - /proc/sys/net/ipv4/ip_forward File 0 -> 1 - FragRouter Tool 사용 Sniffing을 위한 사전단계 공격

  31. MAC Flooding 방법론 MAC & IP Random 변조 공격 Switch의 MAC Table 학습 취약점 - Table에 없는 Mac Address일 경우 All Port Flooding 48 Bit Random MAC 생성할수 있음 - 거의 무한으로 Flooding 할수 있다.

  32. MAC Flooding 정상적인 Packet들

  33. MAC Flooding MAC Address, IP 랜덤 생성 무한루프

  34. MAC Flooding 공격중인 화면

  35. MAC Flooding 공격 중 패킷 캡처

  36. MAC Flooding 랜덤 MAC 확인

  37. MAC Flooding 사후검토 DoS Attack의 일종 - Smurf, Syn Flooding, Land Attack - BPDU Attack, Rip Flooding,HSRP Attack Switch의 MAC 학습 취약점 이용 Network 점유율 대폭 증가 - Local Network 속도 저하

  38. DNS Spoofing 방법론 MITM 공격의 일종 DNS 프로토콜의 인증이 없는 취약점 공격 Phishing에 이용될 수 있음. ARP Spoofing이 선행되어야 함.

  39. DNS Spoofing 정상 DNS 쿼리 경로와 Spoofing 후 경로

  40. DNS Spoofing XP의 통신확인

  41. DNS Spoofing 사전 ARP Spoofing

  42. DNS Spoofing DNS Spoofing 정보 파일 작성

  43. DNS Spoofing ARP Spoofing 후 통신불능 상태 해제 • DNS Spoofing 공격

  44. DNS Spoofing DNS Spoofing 공격 성공

  45. DNS Spoofing 사후 검토 MITM 공격의 일종 ARP Spoofing으로 Packet Sniffing DNS 의 통신 취약점 - DNS 쿼리는 먼저 온 패킷을 받아들인다. - 나중에 온 패킷은 Drop

  46. Idle Scanning 방법론 조용한 윈도우 서버를 이용한 Scanning Linux와 Windows의 패킷 ID값 관리차이를 이용한 Scanning 윈도우는 모든 세션에 대하여 ID를 공유 리눅스는 세션별로 ID가 다르다.

  47. Idle Scanning Idle Scan Packet 흐름

  48. Idle Scanning IP Spoofing을 이용한 Scanning Server가 Victim에게 ICMP 패킷을 보내는 것으로 위장 Windows는 패킷 ID를 공유하므로 ID값의 변화를 관찰하여 포트를 스캐닝

  49. Idle Scanning Hping으로 조용한 Server에 지속적인 ICMP Packet Forwarding

  50. Idle Scanning • IP Spoofing을 통한 Syn Scan

More Related